在 authcode 授权类型实现上是否默认使用 pkce 的授权代码？答案

【问题标题】：Is the authorization code with pkce default on authcode grant type implementation?在 authcode 授权类型实现上是否默认使用 pkce 的授权代码？
【发布时间】：2021-08-10 07:40:43
【问题描述】：

我们正在使用 oidc-client。客户端设置授权类型为授权码。但是，我发现我的授权代码使用了 PKCE。因为我可以在没有客户端密码的情况下使用它，并且 uri 上有 code_challenge。我正在研究它是如何设置的，但我找不到它。

我只想知道现在带有 PKCE 的 AuthCode 是否是默认的。如果我错了，请纠正我，当您没有在您的 oidc-client 中设置您将使用 PKCE 时，您应该使用需要客户端密码的普通身份验证代码吗？

这是我的客户：

getClientSettings(): UserManagerSettings {
const config = this.config._envConfig;

return {
  authority: `${config.BaseAuthUrl}`,
  client_id: "auth-code-client",
  redirect_uri: `${config.BaseRedirectUrl}/signin-callback`,
  post_logout_redirect_uri: `${config.BaseRedirectUrl}`,
  response_type: "code",
  scope:
    "scope_1 scope_2 scope_3",
  filterProtocolClaims: true,
  loadUserInfo: false,
  silent_redirect_uri: `${config.BaseRedirectUrl}/renewtoken`,
  automaticSilentRenew: true,
  revokeAccessTokenOnSignout: true,
  monitorSession: true,
};

}

【问题讨论】：

标签： oauth-2.0 openid-connect pkce oidc-client angular-auth-oidc-client

【解决方案1】：

如果它确实是默认行为，那就太好了。使用 PKCE 没有缺点，如果可能，您应该始终使用它。 PKCE 为流程添加了另一层安全性，它不会阻止您使用客户端的机密。此外，如果授权服务器不支持 PKCE，它应该忽略参数，因此授权服务器是否使用 PKCE 对您的客户端无关紧要。

【讨论】：